no hay manera >_<!!!!!

[Lion]

Logfile of HijackThis v1.99.1

Scan saved at 15:07:15, on 30/10/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

D:\WINDOWS\System32\smss.exe

D:\WINDOWS\system32\winlogon.exe

D:\WINDOWS\system32\services.exe

D:\WINDOWS\system32\lsass.exe

D:\WINDOWS\system32\svchost.exe

D:\WINDOWS\System32\svchost.exe

D:\WINDOWS\Explorer.EXE

D:\WINDOWS\system32\spoolsv.exe

D:\WINDOWS\system32\rundll32.exe

D:\Archivos de programa\Analog Devices\SoundMAX\SMTray.exe

D:\WINDOWS\system32\RUNDLL32.EXE

C:\windows\sp2update00.exe

D:\WINDOWS\system32\ctfmon.exe

D:\Archivos de programa\Messenger\msmsgs.exe

D:\archivos de programa\steam\steam.exe

D:\WINDOWS\bGlvbgAA\command.exe

D:\WINDOWS\system32\nvsvc32.exe

D:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

D:\WINDOWS\system32\wscntfy.exe

D:\Archivos de programa\Windows Media Player\wmplayer.exe

D:\ARCHIV~1\MOZILL~1\FIREFOX.EXE

D:\WINDOWS\system32\wuauclt.exe

D:\Documents and Settings\lion\Escritorio\HijackThis.exe



O4 - HKLM\..\Run: [Smapp] D:\Archivos de programa\Analog Devices\SoundMAX\SMTray.exe

O4 - HKLM\..\Run: [sp2update] C:\windows\sp2update00.exe

O4 - HKLM\..\Run: [MessengerPlus3] "D:\Archivos de programa\Messenger Plus! 3\MsgPlus.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "D:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [Steam] "d:\archivos de programa\steam\steam.exe" -silent

O4 - Startup: AMSN.lnk = D:\Archivos de programa\AMSN\amsn.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Archivos de programa\Messenger\msmsgs.exe

O20 - Winlogon Notify: Reliability - D:\WINDOWS\system32\srtupapi.dll

O23 - Service: Command Service (cmdService) - Unknown owner - D:\WINDOWS\bGlvbgAA\command.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\system32\nvsvc32.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - D:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

[Lion]

alo! any help here? XD

[msc hotline sat]

Empieza por lanzar el ELISTARA, en modo seguro, por este COMMAND.EXE que tienes en proceso !!!





ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp





a controlado como adware CommAD desde la v 10.48 de esta utilidad:

https://foros.zonavirus.com/viewtopic.php?t=9019&highlight=command+exe



Luego arrancar en modo seguro y mover a cuarentena el fichero:



C:\windows\sp2update00.exe



Tras lo cual podremos lanzar el HJT y eliminar esta clave:



O4 - HKLM\..\Run: [sp2update] C:\windows\sp2update00.exe



Tras ello, reiniciar y ver si han desaparecido las anomalias y en cualquier caso comentarnos los resultados como resùesta de este Tema, gracias



saludos



ms, 31-10-2005

[Lion]

Logfile of HijackThis v1.99.1

Scan saved at 14:09:02, on 31/10/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

D:\WINDOWS\System32\smss.exe

D:\WINDOWS\system32\winlogon.exe

D:\WINDOWS\system32\services.exe

D:\WINDOWS\system32\lsass.exe

D:\WINDOWS\system32\svchost.exe

D:\WINDOWS\System32\svchost.exe

D:\WINDOWS\system32\spoolsv.exe

D:\WINDOWS\system32\rundll32.exe

D:\WINDOWS\Explorer.EXE

D:\WINDOWS\system32\nvsvc32.exe

D:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

D:\WINDOWS\system32\wscntfy.exe

D:\Archivos de programa\Mozilla Firefox\firefox.exe

D:\Archivos de programa\MSN Messenger\msnmsgr.exe

D:\WINDOWS\system32\wuauclt.exe

D:\WINDOWS\system32\wuauclt.exe

D:\Archivos de programa\Steam\Steam.exe

D:\Documents and Settings\lion\Escritorio\HijackThis.exe



R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

O4 - HKLM\..\Run: [MSConfig] D:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKCU\..\Run: [msnmsgr] "D:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - Startup: AMSN.lnk = D:\Archivos de programa\AMSN\amsn.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Archivos de programa\Messenger\msmsgs.exe

O20 - Winlogon Notify: IPConfTSP - D:\WINDOWS\system32\u6rulg9916.dll

O23 - Service: Command Service (cmdService) - Unknown owner - D:\WINDOWS\bGlvbgAA\command.exe (file missing)

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\system32\nvsvc32.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - D:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe



ize eso luego incluso ize una passada de spybot en modo avanzado i nada XD yo ya eske me parto con esta cosa gracias por la ayuda :)!

[msc hotline sat]

Arranca en modo seguro y elimina estas claves:





O20 - Winlogon Notify: IPConfTSP - D:\WINDOWS\system32\u6rulg9916.dll





O23 - Service: Command Service (cmdService) - Unknown owner - D:\WINDOWS\bGlvbgAA\command.exe (file missing)





Esta se deja a tu eleccion, pues es opcional pero en ocasiones oculta un troyano:



O4 - Startup: AMSN.lnk = D:\Archivos de programa\AMSN\amsn.exe





Si tras eliminar las claves anteriores todo y arrancando en modo seguro, arranca en modo seguro en solo simbolo de sistema o en consola de recuperacion con el CD de imstalacion y elimina este fichero:



D:\WINDOWS\system32\u6rulg9916.dll



o por lo menos muevelo a una carpeta de cuarentena.



Y cuentas el resultado como respuesta de este Tema, gracias



saludos



ms, 31-10-2005

[Lion]

He entrado en modo a prueba de fallos y no me elimina esas 2 entadas con el fix del hijack >_<!!!!!



ahora a saliido una nueva ke a saber ke es D:\WINDOWS\system32\j60slgd7160.dll

ni con modo a prueba de fallos se van >_<!!!!!!!! y el arxivo ke me has dicho lo intente borrar en modo a prueba de fallos manualmente y no deja y para entrar de otro modo no me acuerdo como era >_>!!!!



el de consola de recuperación >_<



ya no aguanto hoy si no soluciono formateo :_(

[msc hotline sat]

Pues envianos este fichero D:\WINDOWS\system32\j60slgd7160.dll

a zonavirus@satinfo.es anexado a un mail en cuyo texto figure la referencia REF LION e implementaremos su control y eliminacion en la proxima version del ELISTARA, y podr´ñas ejecutarlo hasta en modo seguro en solo simbolo de sistema !



saludos



ms, 2-11-2005

[Lion]

bueno ya os mandé eso

los pop ups ke se abren en la misma ventana sin sentido son un pelin molestos no puedo competir en ns ( mod de half life ) :_( es una pena ahora me voia tener ke comer la cabeza para ponerlo en linux peor bueno muxas gracias haver si lograis poner este tb ike no le entre a nadie :D!!!!!

[msc hotline sat]

En cuanto volvamos a la empresa (ahora ya está cerrado) mionitorizaremos el comportamiento de dicho fichero y eliminaremos lo que haga detendremos el proceso y al finak lo eliminaremos a él y todo.



Mañama te diremos la utilidad que lo controlará,



Mientras tanto, simplemente si arrancas con el CD de instalacion y puksas R para entrar en consola de recuperacion, seguro que podrças eliminarlo, y luego arrancas normalmente y ya no te incordiaría, pero si lo prefieres, malana te lo garemos mas comodo.



saludos



ms, 2-11-2005

[Lion]

os pongo unos cuantos arxivos ke e encontraod cotilleando el system32 ke veo un poco extraños xD!!!!!

j2l40c3qef.dll

j04olah31d4.dll

l42s0ef7eh2.dll

S11thk32.dll <----- este nose tengo nidea XD!!!!



el file missing akel ke tengo nose como sacarlo



ah ni sikiera miro webs ni ago nada solo msn y de ayer para hoy a passado de abrirme webs solo a abrirme webs i salirme cada 5 minutos una imagen movile en medio la pantalla con casinos onlin i lexes i eso ke siempre doi a cerrar a todo lo ke me sale joas xDDDDDD ya me lo tomoa risa xDDDDDDDDD

[msc hotline sat]

Los nombres de estos ficheros no son significativos, y no ha llegado el fichero muestra que te pedimos ayer.



Cuando lo recibamos obraremos en consecuencia



saludos



ms, 3-11-2005

[Lion]

pues lo envie 2 veces >_<!!!

[maura63]

Los enviastes aqui



zonavirus@satinfo.es anexado a un mail en cuyo texto figure la referencia REF LION .



Saludos

maura63

[Lion]

Pues envianos este fichero D:\WINDOWS\system32\j60slgd7160.dll

a zonavirus@satinfo.es anexado a un mail en cuyo texto figure la referencia REF LION e implementaremos su control y eliminacion en la proxima version del ELISTARA, y podr´ñas ejecutarlo hasta en modo seguro en solo simbolo de sistema !



ah yo lo envie ahí , no e entendido tu respuesta soi como medio jilipollas osea os lo reenvio a algun otro sitio ? kreo ke e cabiado un 90% del tiempo del pc por la tele malditosssss xD

[Lion]

mm esto ya es impresionante ese fixero no lo e borrado yo i ya no esta l0l!!!! y ahora mira el log como esta



Logfile of HijackThis v1.99.1

Scan saved at 17:40:01, on 04/11/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

D:\WINDOWS\System32\smss.exe

D:\WINDOWS\system32\winlogon.exe

D:\WINDOWS\system32\services.exe

D:\WINDOWS\system32\lsass.exe

D:\WINDOWS\system32\svchost.exe

D:\WINDOWS\System32\svchost.exe

D:\WINDOWS\system32\spoolsv.exe

D:\WINDOWS\system32\rundll32.exe

D:\WINDOWS\Explorer.EXE

D:\Archivos de programa\MSN Messenger\msnmsgr.exe

D:\Archivos de programa\Messenger\msmsgs.exe

D:\WINDOWS\system32\nvsvc32.exe

D:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

D:\WINDOWS\system32\wscntfy.exe

D:\WINDOWS\system32\wuauclt.exe

D:\Archivos de programa\Windows Media Player\wmplayer.exe

D:\Archivos de programa\BitComet\BitComet.exe

D:\Archivos de programa\Steam\Steam.exe

D:\Archivos de programa\Mozilla Firefox\firefox.exe

D:\Documents and Settings\lion\Escritorio\HijackThis.exe



R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

O4 - HKLM\..\Run: [MSConfig] D:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [msnmsgr] "D:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [MSMSGS] "D:\Archivos de programa\Messenger\msmsgs.exe" /background

O20 - Winlogon Notify: Syncmgr - D:\WINDOWS\system32\l42s0ef7eh2.dll

O23 - Service: Command Service (cmdService) - Unknown owner - D:\WINDOWS\bGlvbgAA\command.exe (file missing)

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\system32\nvsvc32.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - D:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe



el file missing nose como kitarlo ni a prueva de fayos kitando el restaurar sistema no se va xD

D:\WINDOWS\system32\l42s0ef7eh2.dll no se ke es xD

y el comand service npi xD

siento molestaros tanto pero es como ke algo rayante



me a costado cerrar 5 ventanas escribir esto xD!!!!!

[msc hotline sat]

Tienes una clave de carga con WinLogon Notify que lanza la aplicacion aunque arranques en modo seguro.



Debes eliminar estas dos claves:



O20 - Winlogon Notify: Syncmgr - D:\WINDOWS\system32\l42s0ef7eh2.dll



O23 - Service: Command Service (cmdService) - Unknown owner - D:\WINDOWS\bGlvbgAA\command.exe (file missing)





Pero no te será facil solo con el HJT



Baja lña ultima version del ELISTARA que te pedira muestras de los WinLogon Notify que encuentre, para que nos las envies, pues el fichero DLL que lanza esta clave, puede ser variable.



De momento hemos avanzado mucho al respecto con la ultima version del ELISTARA.







ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp





Lanzala y comentanos los resultados, y en C:\INFOSAT.TXT tienes un resumen de lo que ha hecho, haznos un copiar y pegar en tu procimo post



saludos



ms, 4-11-2005

[Lion]

Sun Nov 06 14:31:03 2005

EliStartPage v10.54 (c)2005 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones:

[WinLogon\Notify\EXPLORER]

Por favor, envienos una muestra del fichero

D:\WINDOWS\system32\fpl2033oe.dll

a "virus@satinfo.es". Gracias.

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.igetnet.com

Linea Eliminada del HOSTS --> 127.0.0.1 code.ignphrases.com

Linea Eliminada del HOSTS --> 127.0.0.1 clear-search.com

Linea Eliminada del HOSTS --> 127.0.0.1 r1.clrsch.com

Linea Eliminada del HOSTS --> 127.0.0.1 sds.clrsch.com

Linea Eliminada del HOSTS --> 127.0.0.1 status.clrsch.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.clrsch.com

Linea Eliminada del HOSTS --> 127.0.0.1 clr-sch.com

Linea Eliminada del HOSTS --> 127.0.0.1 sds-qckads.com

Linea Eliminada del HOSTS --> 127.0.0.1 status.qckads.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.qoolaid.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.qoologic.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.CLKPrecision.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.urllogic.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.clkoptimizer.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.isearch.com

Linea Eliminada del HOSTS --> 127.0.0.1 isearch.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.idownload.com

Linea Eliminada del HOSTS --> 127.0.0.1 idownload.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.mytotalsearch.com

Linea Eliminada del HOSTS --> 127.0.0.1 mytotalsearch.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.lop.com

Linea Eliminada del HOSTS --> 127.0.0.1 lop.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.websearch.com

Linea Eliminada del HOSTS --> 127.0.0.1 websearch.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.page-not-found.net

Linea Eliminada del HOSTS --> 127.0.0.1 page-not-found.net

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.isearchhere.com

Linea Eliminada del HOSTS --> 127.0.0.1 isearchhere.com

Linea Eliminada del HOSTS --> 127.0.0.1 xads.offeroptimizer.comm

Linea Eliminada del HOSTS --> 127.0.0.1 search.offeroptimizer.com

Linea Eliminada del HOSTS --> 127.0.0.1 ximages.offeroptimizer.com

Linea Eliminada del HOSTS --> 127.0.0.1 xlime.offeroptimizer.com

Linea Eliminada del HOSTS --> 127.0.0.1 xadsj-o.offeroptimizer.com

Linea Eliminada del HOSTS --> 127.0.0.1 xadsj.offeroptimizer.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.offeroptimizer.com

Linea Eliminada del HOSTS --> 127.0.0.1 as.adwave.com

Linea Eliminada del HOSTS --> 127.0.0.1 sr.adwave.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.adwave.com

Linea Eliminada del HOSTS --> 127.0.0.1 adwave.com EVENT:HOST:127.0.0.1

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.pacimedia.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.pacimedia.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.pacimedia.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.pacimedia.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.pacimedia.com

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Sun Nov 06 14:31:15 2005

EliStartPage v10.54 (c)2005 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones:

D:\Archivos de programa\AMSN\uninstall.exe --> AutoExtraible

D:\Documents and Settings\lion\Escritorio\Amsn-Pack-0.94.exe --> AutoExtraible



jums esas son las pagians ke se me abren

los 2 fixeros akeyoslo veo impossibel de eliminar XD 1 no esta i el otro no se va ara probare conel cd de windows pero mira el arxivo ke dice ke os mande no estabaayer i estoi SEGURISSImo de yeo eh XD esto es mega raro ime a creado otro al lado ke tb fpn0035me.dll tb me parece raro os los mando los2?? como os mande el otro eske respondiste algo ke au nno me kedo claro >_< xD

[msc hotline sat]

Sí, mandanos los dos



y mirate lo del Look2Me de este articulo de ADMIN:









saludos



ms, 7-11-2005

[msc hotline sat]

Sí, mandanos los dos, y hazlo anexandolos aun mail dirigido a zonavirus@satinfo.es indicando en el mail referencia REF LION



y mirate lo del Look2Me de este articulo de ADMIN:



http://www.zonavirus.com/datos/articulos/183/Como_eliminar_spyware_Look2Me.asp





saludos



ms, 7-11-2005